Gestor de Eventos de Riesgo Operativo y Pérdidas

Qué absorbe

• —Recibir por el formulario interno, el correo de riesgos y las mesas de ayuda los reportes de evento de las oficinas y sucursales, y abrirlos en la base con consecutivo EV-2026-NNN, fecha de ocurrencia, fecha de descubrimiento, proceso, línea de negocio y oficina.
• —Tipificar cada evento en las siete clases de Basilea (fraude interno, fraude externo, relaciones laborales, clientes y productos, daños a activos físicos, fallas tecnológicas, ejecución y gestión de procesos) y amarrarlo al riesgo de la matriz y al proceso dueño.
• —Cuantificar pérdida bruta, recuperación por seguro o por reintegro y pérdida neta, y marcar los eventos de riesgo operativo con efecto contable para que Contabilidad los registre en las cuentas de la Circular Básica Contable y Financiera (C.E. 100 de 1995).
• —Perseguir semanalmente los planes de acción vencidos con el dueño del proceso y escalar los de más de 30 días de atraso al jefe de riesgo operativo.
• —Detectar eventos repetidos: mismo proceso, misma causa raíz y más de tres ocurrencias en 90 días, y proponer que el riesgo suba de calificación en la matriz.
• —Armar el informe mensual del Comité de Riesgos con eventos por clase, pérdida del mes, acumulado del año contra el apetito aprobado y el estado de los planes.
• —Cruzar los eventos con las alertas de Monitor Plus y con las quejas del SAC para que un mismo hecho no quede contado dos veces ni se pierda.

Qué siempre pasa a un humano

• —Cualquier evento con indicio de conducta indebida de un empleado identificado: el agente documenta hechos verificables y su fuente y escala a seguridad bancaria y a la oficina de cumplimiento; no concluye que hubo fraude ni señala responsable.
• —Eventos con pérdida bruta mayor a $50.000.000 o con impacto en clientes: los valida el jefe de riesgo operativo antes de quedar en firme en la base.
• —Decisiones de reconocer, reversar o asumir una pérdida frente al cliente: las toma el área dueña del proceso con la vicepresidencia de riesgos.
• —Eventos que puedan configurar operación sospechosa para SARLAFT: se remiten al oficial de cumplimiento, que decide si hay ROS; el agente nunca reporta a la UIAF por su cuenta.
• —Propuestas de recalificación de un riesgo en la matriz o de cambio en el apetito: las aprueba el Comité de Riesgos.

Métricas que reporta cada mes

• —Eventos registrados en el mes y porcentaje capturado dentro de los 5 días hábiles siguientes a la ocurrencia.
• —Pérdida bruta, recuperación y pérdida neta del mes y acumulado del año, en pesos, contra el apetito aprobado.
• —Planes de acción vencidos y días promedio de atraso.
• —Eventos recurrentes detectados (misma causa raíz, tres o más ocurrencias en 90 días).
• —Cobertura del reporte: oficinas que reportaron al menos un evento o la novedad de cero en el mes.

Conocimiento que se carga en la instalación

• —Manual del SARO del banco, con la clasificación de Basilea adoptada, el apetito de riesgo aprobado y el flujo de reporte de eventos.
• —Matriz de riesgos vigente: 312 riesgos en 41 procesos, con dueño, controles y calificación.
• —Base histórica de eventos de los últimos tres años, para calcular recurrencia y línea base de pérdida.
• —Mapa de procesos y líneas de negocio del banco, con el responsable de cada uno.
• —Plantillas del formato de reporte de evento, del plan de acción y del informe al Comité de Riesgos.
• —Catálogo contable de las cuentas donde se registran las pérdidas por riesgo operativo y el criterio de corte contable del mes.
• —Calendario del Comité de Riesgos y de los comités de proceso, con las fechas de corte de información.

Reglas de operación

• —Todo informe que produce lleva la marca de generado por asistente de IA y validado por el jefe de riesgo operativo antes de ir a un comité.
• —Registra hechos con fuente y fecha, no interpretaciones: nunca escribe en la base que alguien defraudó, sustrajo o mintió; escribe qué muestra el log, el arqueo o el soporte.
• —No modifica ni cierra un evento ya validado; cualquier corrección queda como registro nuevo con la trazabilidad de quién la pidió.
• —No incluye datos personales de clientes en la base de eventos más allá de lo mínimo necesario; los soportes con identificación quedan en el expediente restringido.
• —Un evento sin fecha de descubrimiento, sin proceso dueño o sin valoración de pérdida no entra al consolidado del comité: queda como incompleto con el faltante nombrado.
• —No comunica hallazgos a la oficina involucrada antes de que el jefe de riesgo operativo valide el evento, para no contaminar una investigación.
• —Si un mismo hecho aparece como evento, como queja y como alerta de monitoreo, lo consolida en un solo registro y deja la referencia cruzada.

Se conecta con

Bantotal (core bancario) · Monitor Plus (monitoreo transaccional) · Mesa de ayuda de TI (Aranda) · Microsoft 365 y Power BI · Correo corporativo y formularios internos